Ce que les fournisseurs de services financiers doivent savoir sur le cadre juridique de l’IA au Canada

L’évolution des politiques fédérales en matière d’IA au Canada

Le 4 juin 2026, le gouvernement fédéral a publié la Stratégie nationale en matière d’intelligence artificielle du Canada : L’IA pour tous¹. Cette stratégie met l’accent sur l’investissement, l’innovation et l’adoption de l’IA, et propose des mesures visant à améliorer la transparence et à moderniser les cadres législatifs relatifs à la sécurité en ligne et à la protection des renseignements personnels.

Le 23 juillet, le gouvernement a lancé une consultation publique sur la transparence en matière d’IA, qui s’est terminée le 23 septembre². Cette consultation visait à recueillir des commentaires sur la détection des contenus générés par l’IA, la divulgation des interactions avec des systèmes d’IA, l’amélioration de l’accès à de l’information conviviale sur les systèmes, le suivi des incidents graves et le suivi des activités des agents d’IA. L’inclusion de l’IA agentive revêt une importance particulière pour les fournisseurs qui envisagent des applications autonomes, bien que les mesures réglementaires qui en découleront demeurent incertaines.

La protection des consommateurs aux niveaux fédéral et provincial

Plusieurs provinces ont proposé ou adopté des modifications à leurs lois sur la protection du consommateur portant sur la tarification algorithmique, la tarification personnalisée et la prise de décision automatisée. Les fournisseurs de services financiers exerçant leurs activités dans plusieurs provinces devraient suivre de près ces exigences en constante évolution et de plus en plus divergentes.

• Au Québec, le projet de loi n^o 24, entré en vigueur le 12 juin 2026, interdit l’utilisation de l’identité ou de l’image d’une personne à des fins commerciales sans son consentement, une mesure visant à restreindre les hypertrucages (« deepfakes ») et le contenu généré par l’IA.
• Au Manitoba, le projet de loi n^o 49, entré en vigueur le 1^er juillet 2026, modifie la Loi sur les pratiques commerciales afin d’imposer des exigences de transparence en matière de tarification algorithmique personnalisée et de collecte de données à grande échelle. Il s’agit de la première loi canadienne visant directement la tarification algorithmique.
• En Ontario, le projet de loi n^o 104, présenté le 15 avril 2026, modifierait la Loi sur la protection du consommateur afin de considérer comme une pratique déloyale le recours à la tarification algorithmique personnalisée en vue de modifier le prix offert à un consommateur donné.

Bien que certaines de ces modifications visent le secteur du commerce de détail, leur libellé large pourrait, dans certains cas, s’appliquer aux fournisseurs de services financiers qui utilisent l’IA pour fixer, recommander ou ajuster les prix, les taux ou les frais, notamment par une tarification personnalisée des prêts, des frais dynamiques ou des offres adaptées par algorithme. Les fournisseurs qui utilisent des contenus marketing générés par l’IA, des voix synthétiques ou des agents conversationnels devraient également tenir compte des exigences relatives au consentement et des interdictions visant les représentations fausses ou trompeuses.

Il convient également de garder à l’esprit les interdictions existantes prévues par les lois provinciales sur la protection du consommateur et le régime de protection du consommateur en matière financière de la Loi sur les banques lors de l’évaluation du recours aux outils d’IA et des processus d’obtention du consentement qui y sont associés, notamment en ce qui concerne les pratiques déloyales et les communications fausses ou trompeuses. On ne sait pas encore comment les organismes de réglementation chargés de la protection des consommateurs dans le secteur financier, comme l’Agence de la consommation en matière financière du Canada (ACFC), interpréteront et appliqueront ces dispositions dans le contexte de l’utilisation de l’IA, notamment lorsqu’ils envisageront l’imposition de sanctions. Toutefois, dans son avis destiné aux consommateurs intitulé L’intelligence artificielle dans le secteur bancaire, l’ACFC a confirmé que les mesures existantes de protection des droits financiers des clients s’appliquent également à certaines utilisations de l’IA, notamment les exigences de la Loi sur les banques concernant la vente de produits convenables et la communication de renseignements dans un langage et d’une manière simples et clairs, et de façon à ne pas induire en erreur.

Le droit de la concurrence

Il convient de tenir compte des lois canadiennes sur la concurrence lorsqu’on détermine les modalités appropriées d’utilisation de l’IA et de communication de l’information à ce sujet, ou d’obtention du consentement à son utilisation, notamment des dispositions concernant la publicité mensongère, les pratiques de commercialisation frauduleuse, les pratiques de tarification et les comportements anticoncurrentiels, comme l’abus de position dominante. Le Bureau de la concurrence s’intéresse de plus en plus à la tarification algorithmique, y compris à ce que l’on a appelé la « tarification par surveillance », ainsi qu’à la manière dont les algorithmes et les outils reposant sur l’IA sont utilisés dans la prise de décision, la tarification et les comportements susceptibles d’avoir des répercussions sur le marché dans son ensemble. Par conséquent, les fournisseurs de services financiers doivent s’attendre à ce que les pratiques fondées sur l’IA fassent l’objet d’une surveillance accrue à l’avenir.

Le droit de la protection des renseignements personnels

La loi fédérale canadienne sur la protection des renseignements personnels dans le secteur privé, à savoir la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), ainsi que les lois provinciales en la matière, s’appliquent aux renseignements personnels utilisés pour entraîner, ajuster ou exploiter des systèmes d’IA. Il peut notamment s’agir de systèmes servant à la prise de décisions en matière d’octroi de crédit ou de fourniture d’autres produits, à la détection de la fraude et à la personnalisation de la commercialisation, ainsi que les agents conversationnels ou les agents du service à la clientèle.

Voici quelques principes clés en matière de protection des renseignements personnels dont les fournisseurs de services financiers devraient tenir compte lorsqu’ils déploient l’IA :

• obtenir un consentement valide et éclairé pour toute utilisation nouvelle ou élargie des renseignements personnels faisant intervenir l’IA (par exemple, l’utilisation de renseignements personnels à des fins d’entraînement ou comme données d’entrée d’un système d’IA);
• limiter la collecte, l’utilisation et la communication des renseignements personnels à ce qui est nécessaire aux fins précisées au moment où le consentement a été sollicité;
• assurer une transparence réelle quant à l’utilisation de l’IA et à la prise de décision automatisée faisant intervenir des renseignements personnels;
• veiller à ce que des mesures de protection appropriées soient mises en œuvre pour les systèmes d’IA traitant des renseignements personnels; et
• maintenir des mécanismes de responsabilisation et de documentation à l’égard des évaluations des risques liés à l’IA pour la protection des renseignements personnels.

Le gouvernement canadien a récemment présenté un projet de loi qui remplacerait la LPRPDE par la Loi visant à protéger la vie privée et les données des consommateurs (LPVPDC)³. Les contraventions à la LPVPDC pourraient entraîner des sanctions administratives pécuniaires dont le montant maximal serait égal au plus élevé des montants suivants : 3 % du chiffre d’affaires mondial ou 10 millions de dollars. Les infractions criminelles pourraient être passibles d’amendes dont le montant maximal serait égal au plus élevé des montants suivants : 5 % du chiffre d’affaires mondial ou 25 millions de dollars. Des pouvoirs de sanction similaires sont déjà en vigueur en vertu des lois québécoises sur la protection des renseignements personnels.

Alors que les organismes de réglementation fédéral et provinciaux chargés de la protection des renseignements personnels s’intéressent de plus en plus aux systèmes d’IA, notamment à la prise de décision automatisée et aux outils d’IA générative, les fournisseurs de services financiers qui utilisent des outils d’IA devraient s’assurer que les risques d’atteinte à la vie privée sont dûment pris en compte lorsqu’ils adoptent cette technologie. Les obligations particulières d’un fournisseur en matière de protection des renseignements personnels dépendront de la nature des renseignements personnels concernés, des territoires où il exerce ses activités et de l’usage qu’il fait de l’IA.

Les lignes directrices et les rapports des organismes de réglementation

Diverses lignes directrices et divers rapports des organismes de réglementation énoncent des principes, des recommandations et des pratiques dont les fournisseurs de services financiers sont censés tenir compte.

Le bulletin sur le risque lié aux technologies publié par le BSIF en juillet 2026, intitulé Intelligence artificielle générative et agentive : répercussions sur la technologie, la cybersécurité et la résilience opérationnelle, énonce des pratiques exemplaires pour la gestion des risques liés à l’IA générative et agentive au sein des institutions financières fédérales⁴. Il réaffirme également que les lignes directrices existantes du BSIF, notamment les lignes directrices B-10, B-13, E-21 et E-23, s’appliquent à l’adoption et à l’utilisation de ces technologies. La ligne directrice E-23 du BSIF, Gestion du risque de modélisation, qui énonce ses exigences et ses attentes relativement à la gouvernance des modèles, y compris les modèles d’IA et à la gestion des risques connexes, entrera en vigueur en mai 2027. Bien que les lignes directrices du BSIF ne s’appliquent qu’aux institutions financières sous réglementation fédérale, elles peuvent néanmoins concerner les entreprises de technologie financière qui fournissent des services à une institution réglementée. Ces institutions sont tenues de gérer les risques liés aux tiers et exigent souvent de leurs fournisseurs de technologie financière qu’ils démontrent que leur gouvernance de l’IA est conforme aux attentes du BSIF.

Au niveau provincial, l’Autorité des marchés financiers (AMF) du Québec a publié en 2025 un projet de Ligne directrice sur l’utilisation de l’intelligence artificielle, suivi d’une version définitive en mars 2026, qui prendra effet le 1^er mai 2027. Cette ligne directrice énonce les attentes de l’AMF relativement à la gouvernance de l’IA, à la gestion des risques, aux contrôles tout au long du cycle de vie et à la protection des consommateurs, et exige des institutions financières réglementées qu’elles adoptent un cadre de surveillance des systèmes d’IA fondé sur les risques. À ce jour, aucun autre organisme provincial de réglementation du secteur financier n’a publié de lignes directrices similaires.

Le BSIF et le Global Risk Institute ont coparrainé deux phases du Forum sur l’intelligence artificielle dans le secteur des services financiers (FIASSF), réunissant des intervenants du secteur financier. Le rapport de la première édition du FIASSF, Une perspective canadienne sur l’intelligence artificielle responsable, publié en avril 2023, a établi les principes EDGE – explicabilité, données, gouvernance et éthique – comme piliers de l’adoption responsable de l’IA dans les services financiers. Ces principes mettent l’accent sur une explicabilité adéquate des décisions prises au moyen de l’IA et sur la communication de renseignements appropriés à leur sujet; sur des approches axées sur les consommateurs qui respectent les valeurs éthiques et protègent la vie privée; ainsi que sur une gouvernance solide, fondée sur les risques et appuyée par de saines pratiques en matière de données.

Le rapport final de la deuxième édition du FIASSF, Risques et possibilités liés à l’IA : Adoption d’un cadre AGILE dans les services financiers canadiens, publié en mars 2026, s’appuie sur les principes EDGE et introduit le cadre AGILE – prise de conscience (Awareness), garde-fous (Guardrails), innovation (Innovation), apprentissage (Learning) et résilience des écosystèmes (Ecosystem Resiliency) – pour répondre à des risques qui dépassent désormais la portée initiale des principes EDGE, notamment l’intensification des cybermenaces, le risque de concentration lié aux tiers, la criminalité financière, les répercussions sur la stabilité financière et les incidences sur la protection des consommateurs. L’atelier sur la protection des consommateurs a dégagé trois principes clés : l’inclusion dès la conception, qui consiste à intégrer les intérêts des consommateurs dès le début du développement des outils d’IA; l’innovation et la résilience, qui reposent sur la reconnaissance des avantages qu’un secteur financier concurrentiel et innovant profite aux consommateurs; et les connaissances en matière d’IA, qui visent à favoriser la compréhension de l’IA par les consommateurs afin d’améliorer l’accès, l’inclusion et la protection. Le rapport de la deuxième édition du FIASSF souligne également que les institutions devraient adopter des cadres de divulgation en langage clair et à plusieurs niveaux lorsque les consommateurs interagissent avec l’IA, demeurer responsables des résultats que l’IA produit pour les consommateurs et leur offrir des voies de recours claires lorsque ces résultats ont un effet négatif pour eux.

Les points à retenir

• Le Canada ne s’est pas encore doté d’un régime législatif global régissant l’IA. Les cadres juridiques existants relatifs à la protection des renseignements personnels, à la concurrence et à la protection du consommateur, ainsi que d’autres cadres juridiques, s’appliquent à l’IA.
• La stratégie fédérale L’IA pour tous et la consultation sur la transparence de l’IA témoignent de l’attention soutenue que porte le gouvernement à l’adoption de l’IA et à la confiance qu’elle inspire.
• Les principes de la Loi sur la concurrence s’appliquent à la tarification, à la commercialisation et aux pratiques commerciales fondées sur l’IA, et le Bureau de la concurrence intensifie son examen des pratiques algorithmiques.
• Les lois fédérales et provinciales en matière de protection des renseignements personnels encadrent l’utilisation de ces renseignements pour l’entraînement ou le fonctionnement des systèmes d’IA, y compris comme données d’entrée et de sortie.
• Il faut tenir compte des lois fédérales et provinciales existantes en matière de protection du consommateur concernant les pratiques déloyales et les représentations trompeuses. De plus, plusieurs provinces ont proposé ou adopté des modifications à leurs lois sur la protection du consommateur pour encadrer la tarification algorithmique et la prise de décision automatisée.
• Les lignes directrices du BSIF et les cadres EDGE et AGILE du FIASSF contribuent à façonner les attentes du secteur.